层叠 - The Cascading [ɑ]

🔴 Next.js RCE/DoS；请升级至 15.5.28/16.4.1。 - RCE 其中一个是 React Cache Components 的漏洞。 - 另一个是 sharp 图片库的相关漏洞，在 sharp 0.35.5 修复。 - 注：Next.js 已对 14 及更低版本停止支持 [1]。 nextjs.org/~ CVE: GHSA-673q-mjm6-r5xr, CVE-2026-9688 1. https://nextjs.org/support-policy linksrc: https://t.me/hatschannel/6973 ... [1/2]

🔴 今日漏洞总结。 php [1]：RCE。请更新至 8.5.12/8.4.27/8.3.36/8.2.35。 Node.js [2]：RCE。请更新至 26.12.1/24.22.1/22.23.4。 eMudhra 证书 [3]：或可导致 MitM。请注意停用受影响证书、检查浏览器更新及更新 ca-certificates 等相关组件。测试方法和修复版本参见 [3]。 TiDB 云被骇 [4]：有用户元信息被泄露；但目前没有数据库数据泄露的证据。 1. php.net/~ 2. nodejs.org/~ ... [1/2]

🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。 - PHP 官网称修复会在今日 22:00 (UTC+8) 发布。 - 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。 1. https://php.net/archive/2026.php#2026-10-20-1 2. cert.europa.eu/~ 3. HackerNews:50167754 CVE: CVE-2026-109618, CVE-2026-109619 ... [1/2]

或是因为 PHP 漏洞，Pixiv、DeviantArt、Namesilo 等网站暂时停止服务。 距离 PHP 发布 fix 还有约一小时。PHP 8.2 之前的版本已经停止支持，可能不会发布修复。 - https://pixiv.net/ - https://fanbox.cc/ - https://deviantart.com/ - https://namesilo.com/ linksrc: /4938 #PHP #Pixiv #DeviantArt #Namesilo Telegram 原文

🔴 eMudhra TLS 根证书被吊销，原因是私钥过于简单以致被泄露。 - 主流浏览器厂商现应已废除这些根证书。不确定的订户可以在 [1] 测试。 - 操作系统、软件等由于自行提供 CA 库，可能需要手动更新 ca-certificates 等组件；订户可参考 [1] 文末的信息。 - 过于简单的意思是一般有 384 bit 的私钥只有 8 个 bit 有效（也就是值小于 256）。 （编者注：配图来自 https://xkcd.com/221/ 。） ... [1/2]

🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。 - PHP 官网称修复会在今日 22:00 (UTC+8) 发布。 - 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。 1. https://php.net/archive/2026.php#2026-10-20-1 2. cert.europa.eu/~ 3. HackerNews:50167754 CVE: CVE-2026-109618, CVE-2026-109619 ... [1/2]

🔴 Google 或会自动添加登录设备手机号到账户。 - Google 默认启用「手机号码验证」功能。此功能会将手机号绑定到设备上所有登录了的 Google 账户上。 - 用户关闭此功能的方式是在「设定」>「Google」>「所有服务」标签>「隐私权与安全性」节>「验证电话号码」中，关闭「自动验证电话号码」功能。 - 用户可能还想要在 Google 账户设置 [1] 移除已经添加过的电话号码。 androidauthority.com/~ seealso: HackerNews:50090349 ... [1/2]

因作者无法忍受 Google Play 行为，软件 Conversations 在 Play 上不再收费。 - Conversations 是一款支持 XMPP/Jabber 平台的聊天软件。 - 虽然开源，但此软件之前在 Google Play 收费提供。之后用户也可以通过 F-Droid 免费下载。 - Google Play 会对软件销售收入抽成 15%，但作者对其审批更新的效率及随意下架其应用的行为不满。 - 作者现在不再依赖 Google Play 收入维生，因此在 Play 上把软件切换到免费。 gultsch.de/~ ... [1/2]

[旧闻] Nitter 于 9/7 宣布将继续项目；repo 于 9/11 被 archive。 - 维护者于 9/7 称一周内将宣布详细进展 [1]。 - XCancel [2] 等实例也重新开启。 https://github.com/zedeus/nitter 1. twitter.com/zedeus_/~ 2. https://xcancel.com thread: /4906 #Twitter #Nitter Telegram 原文

Google 的 Artemis 被指抄袭开源项目 mobile-tap 并移除原作者署名。 - Artemis 是 Google 近日发布的基于 LLM 的移动端自动化测试开源项目。 - Minitap CEO 发文称此项目抄袭其公司 mobile-tap 项目，并故意移除了原作者署名。 - GitHub 上显示了 google/artemis 的一次 force push，把 14e02c4 中的原作者署名改为 Artimis 现作者。 ... [1/2]

[旧闻] 网友要求 Neovim 维护者撤除官网中争议人士 DHH 对 Neovim 的好评，引起一位维护者与众多网友的争论。DHH 的好评最终被另一位维护者撤掉。 - Neovim 是知名编辑器 vim 的知名 fork 版本。 - 八月末有人在 GitHub 开 issue 要求 Neovim 回应在官网引用「纳粹主义者」 DHH 言论的情况。一位维护者回复称对此等论争不予回应。 [1] ... [1/4]

- issue 中还是发生了争吵，争论双方最后也未达成共识。另一位 Neovim 维护者最终从官网移除了 DHH 的言论。 [6] 1. gh:neovim/neovim.github.io#501 2. world.hey.com/~ 3. https://omarchy.org/ 4. omarchy.org/~ 5. gh:neovim/neovim.github.io#393 6. gh:neovim/neovim.github.io#504 [感谢 夜坂雅 提供此消息。] EDIT 9/12: 重写标题。 #DHH #Neovim ... [3/4]

[旧闻] 网友要求 Neovim 维护者撤除官网中争议人士 DHH 对 Neovim 的好评，引起一位维护者与众多网友的争论。DHH 的好评最终被另一位维护者撤掉。 - Neovim 是知名编辑器 vim 的知名 fork 版本。 - 八月末有人在 GitHub 开 issue 要求 Neovim 回应在官网引用「纳粹主义者」 DHH 言论的情况。一位维护者回复称对此等论争不予回应。 [1] ... [1/4]

Automattic 董事会投票通过原 CEO Matt 进入带薪休假状态的提案；CFO 临时接任 CEO 工作。 - Automattic 是 WordPress 及 Tumblr 等产品的运营公司。 - Matt 在公司 Slack 群组宣称此事为 CFO 与董事会合谋 (conspire) 之行为。 - Matt 是 WordPress 项目及 WordPress.com/Automattic 公司创始人。 - WordPress.org 社区总监称 Matt 在 WordPress.org 开源项目的领导角色不变。 techcrunch.com/~ ... [1/2]

🔴 有用户发现 Grok Build CLI 会偷偷上传用户 repo 到其存储桶。 - 即使关闭了 "Improve the model"，或者 AI 不需要使用整个 repo 的内容，上传行为仍然会发生。 - 本台并未独立验证此 Gist 中内容的真实性。 - 对个人资讯泄露有担忧的 Grok CLI 用户或会想进行 token 重置等相应处理。 https://gist.github.com/cereblab/dc9a40bc26120f4540e4e09b75ffb547 seealso: HackerNews:48877371 ... [1/2]

Claude Code 被发现针对中国科企、AI 实验室及中转站进行检测。 - 检测项目包括系统时区和 ANTHROPIC_BASE_URL 的值。 - 根据检测结果，system prompt "Today's date is ..." 一句会使用不同的撇号。 - 检测范围包括部分中国科技/AI 企业的关键词，以及几十个 LLM API 中转站的域名。 - 评论有两种主流观点：一种是批评 Claude Code 的软件行为缺乏透明度，另一种则认为其保护知识产权/反滥用的行为合理 [seealso][1]。 thereallo.dev/~ ... [1/2]